Shell, RingCentral e Trezor colpite da furti di dati ed estorsioni

🛡️ Executive Summary

• Shell indaga dopo la rivendicazione di Cl0p, che sostiene di aver sottratto 89 GB di documenti probabilmente attraverso PTC Windchill e FlexPLM.
• Il breach RingCentral ha coinvolto 1,6 milioni di account con nomi, email, telefoni e indirizzi; ShinyHunters rivendica l’operazione estorsiva.
• Trezor conferma l’esposizione dei dati di 13.689 clienti attraverso ShipMonk, mentre dispositivi, wallet e sistemi Trezor restano indenni.

Tre incidenti distinti riportano al centro il furto di dati come strumento di estorsione e preparazione di attacchi successivi. Shell sta verificando una possibile compromissione dopo che Cl0p ha rivendicato il possesso di 89 GB di documenti, nel contesto della campagna contro installazioni PTC Windchill e FlexPLM. RingCentral ha invece confermato una violazione legata a una campagna di social engineering, mentre l’analisi dei dati pubblicati da ShinyHunters ha identificato informazioni appartenenti a 1,6 milioni di account. Infine Trezor ha comunicato l’esposizione dei dati di 13.689 clienti attraverso il provider logistico ShipMonk, precisando che wallet hardware, sistemi e servizi aziendali non sono stati compromessi.

Shell verifica 89 GB di dati rivendicati da Cl0p

Shell ha confermato di stare indagando su un possibile incidente di sicurezza dopo essere comparsa sul data leak site di Cl0p, gruppo cybercriminale che sostiene di aver sottratto circa 89 GB di informazioni. La compagnia energetica non ha ancora confermato né la validità dei file rivendicati né il vettore utilizzato per ottenere l’accesso, limitandosi a comunicare che i propri team di sicurezza e specialisti esterni stanno verificando quanto accaduto. Secondo la rivendicazione criminale, il materiale comprenderebbe disegni ingegneristici, scansioni di rapporti sui test degli impianti, fotografie delle strutture e piani di progetto, categorie di documenti particolarmente rilevanti in un’azienda che opera nel settore energetico e industriale. Shell figura insieme ad altre decine di organizzazioni nella nuova serie di vittime rivendicate dal gruppo, che appare collegata alla campagna contro istanze PTC Windchill e FlexPLM esposte su Internet attraverso CVE-2026-12569. Il collegamento resta tuttavia un’ipotesi fondata sul contesto della campagna e non una conferma tecnica fornita direttamente da Shell.

La vulnerabilità CVE-2026-12569 consente a un utente non autorizzato di ottenere esecuzione remota di codice sulle piattaforme PTC interessate. Il produttore aveva iniziato a distribuire le patch a giugno e aveva successivamente intensificato gli avvisi dopo aver ricevuto segnalazioni di crescente attività ostile, pubblicando indicatori di compromissione relativi a webshell JSP e infrastrutture C2. PTC ha inoltre invitato i clienti a cercare POST anomali verso file .jsp nelle directory di login, verificare la presenza di specifiche webshell e limitare quando possibile l’esposizione Internet dei servizi Windchill. Matrice Digitale aveva già ricostruito la campagna nell’approfondimento su Clop e lo sfruttamento di Windchill e FlexPLM per il furto di progetti industriali, dove emergeva come il bersaglio non fosse semplicemente l’infrastruttura IT, ma la proprietà intellettuale custodita dai sistemi Product Lifecycle Management. L’eventuale presenza di Shell tra le vittime rafforzerebbe questa dimensione, perché file di progettazione, schemi e documentazione tecnica possono avere valore molto superiore alle normali informazioni anagrafiche sottratte durante un data breach. PTC continua a definire la situazione in evoluzione e mantiene attivo il proprio centro di aggiornamento dedicato a Windchill e FlexPLM.

RingCentral espone i dati di 1,6 milioni di account

Per RingCentral il perimetro del breach è invece più definito. La società aveva annunciato il 28 luglio 2026 di essere stata bersaglio di una sofisticata campagna di social engineering, specificando di avere interrotto l’attività non autorizzata, avviato un’indagine insieme a una società forense esterna e di non aver osservato ulteriori accessi dopo le misure di contenimento. RingCentral aveva parlato inizialmente di una porzione limitata della clientela e aveva precisato che la piattaforma principale non era stata compromessa e che i servizi continuavano a funzionare normalmente. La dimensione dell’esposizione è diventata più chiara dopo l’analisi del materiale pubblicato da ShinyHunters, gruppo che aveva rivendicato il furto di 623 GB di dati e successivamente distribuito circa 280 GB di file compressi sul proprio leak site dopo il mancato pagamento dell’estorsione. Have I Been Pwned ha verificato il dataset e registrato 1,6 milioni di indirizzi email unici, associati anche a nomi, numeri telefonici e indirizzi fisici. RingCentral non ha tuttavia attribuito ufficialmente l’incidente a ShinyHunters.

Il caso mostra ancora una volta come il social engineering contro personale e identità aziendali possa produrre un impatto comparabile allo sfruttamento di una vulnerabilità tecnica. RingCentral non ha fornito dettagli sul percorso seguito dall’attaccante all’interno dei sistemi, rendendo improprio attribuire automaticamente il breach a Salesforce o ad altre piattaforme utilizzate dal gruppo. ShinyHunters è però associato a una lunga serie di campagne costruite attorno al furto di credenziali, abuso di integrazioni SaaS e tecniche di impersonificazione del supporto IT. Matrice Digitale aveva già analizzato questa evoluzione nell’articolo sugli attacchi di ShinyHunters contro Salesforce attraverso OAuth e false chiamate dei tecnici IT, dove l’obiettivo principale era convincere utenti legittimi ad autorizzare accessi che successivamente permettevano l’esfiltrazione massiva dei dati CRM. Nel caso RingCentral, ciò che può essere affermato con certezza è più limitato: l’avviso ufficiale dell’azienda parla espressamente di social engineering e di dati appartenenti a una parte dei clienti, mentre HIBP conferma la presenza nel leak di 1,6 milioni di account.

Trezor coinvolta attraverso il provider logistico ShipMonk

Il breach che interessa Trezor nasce invece fuori dall’infrastruttura del produttore di hardware wallet. Il 10 agosto 2026, ShipMonk, uno dei partner utilizzati per logistica e spedizioni, ha comunicato a Trezor un accesso non autorizzato ai propri sistemi contenenti informazioni sugli ordini. L’azienda ha successivamente quantificato l’esposizione in 13.689 clienti: 11.742 hanno subito la compromissione completa di nome, email, numero di telefono e indirizzo di spedizione, mentre per altri 1.947 risultano esposti nome, città ed email. I clienti interessati si trovano negli Stati Uniti, Regno Unito, Svezia, Colombia, Brasile, Italia e Portogallo. Per la maggioranza dei dati il periodo coinvolto riguarda ordini consegnati tra il 10 maggio e l’8 agosto 2026, anche se Trezor sta verificando con ShipMonk se una parte delle 1.947 esposizioni parziali possa riferirsi a ordini precedenti.

Il produttore sottolinea che nessun sistema Trezor è stato compromesso, che i dispositivi hardware rimangono sicuri e che l’incidente non ha interessato chiavi private, wallet backup o recovery seed. Il rischio maggiore nasce invece dalla possibilità di costruire campagne di phishing e impersonificazione estremamente credibili partendo da informazioni reali sul cliente. Un criminale che conosce nome, email, telefono e indirizzo fisico può contattare la vittima fingendosi Trezor, un exchange, una banca o un corriere e rendere la comunicazione molto più convincente attraverso dettagli personali corretti. Per un possessore di criptovalute il problema è particolarmente delicato perché il vero obiettivo potrebbe diventare il wallet backup, elemento che Trezor ricorda di non chiedere mai via email, telefono o sito Web. La società precisa inoltre che si tratta della prima violazione dalla fondazione nel 2013 nella quale siano stati esposti contemporaneamente numeri telefonici e indirizzi fisici dei clienti.

La retention di 90 giorni limita l’impatto del breach Trezor

Una caratteristica significativa del caso Trezor riguarda la data retention. La società impone ai propri partner logistici di cancellare o anonimizzare i dati relativi agli ordini dopo 90 giorni, periodo considerato sufficiente a coprire consegna, restituzioni, rimborsi ed eventuali sostituzioni. Secondo Trezor, questa politica ha ridotto concretamente il numero delle persone coinvolte, impedendo che ShipMonk conservasse indefinitamente l’intera storia degli acquisti. Il dato dimostra una conseguenza pratica del principio di minimizzazione: informazioni non più conservate non possono essere sottratte durante una violazione successiva. Trezor ha inoltre annunciato un sistema di Anonymous Delivery, con ritiro tramite locker, packaging neutro, informazioni generiche sul mittente e cancellazione automatica degli identificativi di spedizione, previsto nell’Unione europea da settembre 2026 e successivamente negli Stati Uniti. La società descrive nel proprio avviso ufficiale sul breach di ShipMonk le categorie di dati coinvolte e invita gli utenti notificati a diffidare di qualsiasi comunicazione che chieda il wallet backup o informazioni personali.

Il vettore iniziale che ha interessato ShipMonk porta inoltre verso un ulteriore livello della supply chain. Secondo le comunicazioni inviate ai clienti coinvolti, l’accesso sarebbe collegato allo sfruttamento di una vulnerabilità della piattaforma analytics Metabase, utilizzata da ShipMonk. Trezor non presenta questo elemento come risultato della propria indagine tecnica e non fornisce ulteriori dettagli sul difetto, per cui la catena deve essere mantenuta separata dalla compromissione dei sistemi Trezor: Metabase avrebbe esposto ShipMonk, ShipMonk custodiva i dati necessari alle spedizioni e l’incidente si è propagato quindi verso i clienti Trezor senza violare direttamente Trezor. È il modello classico del rischio da fornitore, dove la sicurezza dell’organizzazione principale non elimina la superficie introdotta da SaaS, logistica, assistenza e altri servizi esterni.

Cl0p e ShinyHunters mostrano due modelli di estorsione sui dati

I casi Shell, RingCentral e Trezor descrivono tre percorsi tecnici diversi ma convergono sullo stesso valore economico: il dato sottratto è ormai sufficiente per sostenere un’operazione criminale anche senza cifrare i sistemi della vittima. Cl0p concentra da tempo una parte delle proprie campagne sullo sfruttamento massivo di software enterprise esposto e sull’esfiltrazione di documentazione sensibile, trasformando la minaccia di pubblicazione nel principale strumento di pressione. ShinyHunters opera invece frequentemente attraverso compromissioni dell’identità, social engineering, servizi SaaS e accessi a grandi repository di dati, per poi ricorrere alla formula pay-or-leak. Nel breach Trezor l’eventuale estorsione riguarda il fornitore compromesso, mentre per l’utente finale il rischio più concreto arriva dopo l’esfiltrazione, sotto forma di phishing mirato e tentativi di furto delle criptovalute. La distinzione è importante perché impedisce di ridurre sotto la stessa etichetta incidenti che tecnicamente non lo sono: Shell sta ancora verificando la rivendicazione, RingCentral ha confermato un accesso non autorizzato generato da social engineering e Trezor è vittima indiretta di un breach della propria supply chain. Ciò che li unisce è la crescente capacità del cybercrime di monetizzare la disponibilità di informazioni senza avere bisogno di interrompere i servizi o distribuire necessariamente ransomware sui sistemi finali.